台東区の観光サイト運営委託先トラベルジップに不正アクセス、2サイトで計1,247人の個人情報が流出

事案の概要データ

図解：この事故の構造

何が起きたのか

台東区は2026年10月23日、観光情報サイト「TAITOおでかけナビ」の制作・運営委託先である株式会社トラベルジップが不正アクセスを受け、個人情報が流出したと公表しました。

公表文によれば、不正アクセスは10月22日（木）夜から23日（金）朝にかけて発生。事業者は23日にこれを確認し、サーバーへの外部からのアクセスを遮断。調査の結果、個人情報流出を確認しました。

流出が確認された情報は3区分です。①写真ダウンロードを申請された方 387人（組織名、氏名、メールアドレス、電話番号、利用目的、IPアドレス）。②資料請求や問い合わせをされた方 715人（組織名、氏名、住所、メールアドレス、電話番号、問い合わせ内容）。③その他サイト運営関係者等 52人。合わせて1,154人です。

同じトラベルジップが管理する「蔦重ゆかりの地 台東区」でも、問い合わせを行った93人の情報（氏名（ふりがな）、メールアドレス、住所、電話番号、お問い合わせ内容等）が流出しています。

台東区は連絡を受けた10月23日のうちに庁内で危機管理対応を協議し、警察へ相談し、区の公式ホームページに掲載。10月26日に被害状況を確定して個人情報保護委員会へ報告し、10月29日に対象者へメールでお詫びしています。

報道の数字と、区の公表文の数字が食い違っている

この事案を扱ううえで、1つ注意すべき点があります。報道の件数と、台東区の公表文の件数が一致しません。

報道（ScanNetSecurity、11月4日付）は「TAITOおでかけナビで約5,500件」「蔦重で約120件」としています。一方、台東区の公表文は「387人」「715人」「52人」の合計1,154人、蔦重は93人です。

4倍以上の開きがあります。理由は、読んだ範囲では確認できませんでした。

考えられる可能性はいくつかあります。①「件」と「人」の違い。 1人が複数回問い合わせていれば、件数は人数より大きくなります。②公表後に数字が更新された。 区の公表文は10月28日・29日に更新されており、本文の更新日は10月30日です。③報道が参照した資料が別にある。

本サイトは、公表元の数字を採用するという方針を取ります。本記事の件数は台東区の公表文に基づく1,154人と93人です。

そのうえで、この食い違いそのものが、読者にとって役立つ材料になります。同じ事故について、報じられる数字が複数あるということは珍しくありません。

中小企業が自社の事故を公表するとき、ここから学べることは1つです。「件」なのか「人」なのかを書く。 台東区は一貫して「対象者◯人」と書いています。区分ごとに人数を示し、合計は書いていません（合計を書くと、区分間の重複をどう扱ったかの説明が要るからでしょう）。

本サイトでは、佐川急便の「対象となる方の実人数を示すものではありません」、アララの「件数は合算しておりません」、フジッコの「件」と「人」が混在した例を扱ってきました。数字の単位を書くだけで、こうした混乱の多くは防げます。

IPアドレスが漏えい項目に入っている

「TAITOおでかけナビ」の①写真ダウンロード申請者の項目に、IPアドレスが入っています。これは比較的珍しい記載です。

IPアドレスは、インターネット上の住所にあたる番号です。フォームの送信記録として自動的に保存されることが多く、本人が入力したわけではない情報です。

単体では個人を特定できませんが、組織名・氏名・電話番号と並んでいれば話が別です。たとえば「どの会社から、いつ、何をダウンロードしたか」が分かります。企業の担当者にとっては、業務上の動きが読まれることになります。

ここで中小企業に考えてほしいのは、「自分が集めたつもりのない情報が、保存されていないか」という点です。

フォームのプログラムは、たいてい送信者のIPアドレス、送信日時、ブラウザの種類（ユーザーエージェント）、参照元ページを自動的に記録します。迷惑投稿の対策として必要な機能ですが、集めている自覚がないまま保存されていることがほとんどです。

そして台東区のように、漏えいしたときに項目として公表する必要が出てきます。 「何を持っているか」を把握していなければ、「何が漏れたか」も書けません。

やることは2つです。①自社のフォームが何を保存しているか、制作会社に聞く。 「入力項目のほかに、自動で記録している情報はありますか」と1行聞けば済みます。②保存期間を決める。 迷惑投稿対策なら、数か月で十分なはずです。

なお台東区は、同じ時期に別の事業者を原因とする事案も複数公表しています。ミラボ（障害者支援アプリ）、Studio（福祉センターの申込フォーム）、トラストバンク（ふるさと納税）。自治体は多数の事業者にサイトやフォームを委託しており、そのどれが侵害されても自治体の名前で公表することになります。 中小企業も、使っているサービスの数だけ同じリスクを抱えています。

時系列で見る経過

• 2026年10月22日（木）夜〜10月23日（金）朝株式会社トラベルジップのサーバーが不正アクセスを受ける
• 2026年10月23日（金）事業者が不正アクセスを確認し、サーバーへの外部からのアクセスを遮断。調査の結果、個人情報流出を確認
• 2026年10月23日（金）台東区が個人情報流出の連絡を受け、庁内での危機管理対応協議および警察への相談を実施。同日、区公式ホームページへ掲載
• 2026年10月25日（日）「蔦重ゆかりの地 台東区」について、事業者による調査の結果、個人情報流出を確認
• 2026年10月26日（月）被害状況確定。個人情報保護委員会へ報告
• 2026年10月29日（木）台東区より対象者へお詫びの対応（メール）。「蔦重ゆかりの地 台東区」は協議会よりメール
• 2026年10月30日区の公表ページの本文を更新
• 2026年11月4日報道（ScanNetSecurity）が事案を取り上げる

中小企業が学ぶべきポイント

1. 報道の件数と公表元の件数が食い違うことがある。公表元の数字を確認する。
2. 「件」なのか「人」なのかを書く。それだけで数字の混乱の多くは防げる。
3. 区分ごとの人数を示し、合計を書かないという選択もある（重複の説明が不要になる）。
4. フォームは、入力項目のほかにIPアドレス・送信日時・ブラウザ情報を自動で記録している。
5. 「集めたつもりのない情報」も、漏えいすれば公表項目になる。
6. 制作会社に「入力項目のほかに自動で記録している情報はありますか」と1行聞く。
7. 自動記録の保存期間を決める。迷惑投稿対策なら数か月で足りる。
8. 連絡を受けたその日のうちに、警察相談と公表まで進めた区の初動は速い。
9. 自治体も中小企業も、委託しているサービスの数だけ同じリスクを抱えている。

出典・参考

• 台東区観光情報サイト「TAITOおでかけナビ」管理委託事業者への不正アクセスによる個人情報の流出（台東区）
• 「蔦重ゆかりの地 台東区」管理事業者への不正アクセスによる個人情報の流出（台東区）
• 台東区のウェブサイト管理者トラベルジップに不正アクセス（ScanNetSecurity）